Berikan izin untuk menandai sumber daya Aurora selama pembuatan

Beberapa operasi API RDS memungkinkan Anda menentukan tag saat membuat sumber daya. Anda dapat menggunakan tanda sumber daya untuk menerapkan pengendalian berbasis atribut (ABAC). Untuk informasi lebih lanjut, lihat Untuk apa ABAC? AWS dan Mengontrol akses ke AWS sumber daya menggunakan tag.

Untuk memungkinkan pengguna menandai sumber daya pada pembuatan, mereka harus memiliki izin untuk menggunakan tindakan yang membuat sumber daya, seperti . Jika tag ditentukan dalam tindakan buat, RDS melakukan otorisasi tambahan pada rds:AddTagsToResource tindakan untuk memverifikasi apakah pengguna memiliki izin untuk membuat tag. Oleh karena itu, para pengguna juga harus memiliki izin eksplisit untuk menggunakan tindakan rds:AddTagsToResource.

Dalam definisi kebijakan IAM untuk rds:AddTagsToResource tindakan, Anda dapat menggunakan kunci aws:RequestTag kondisi untuk mewajibkan tag dalam permintaan untuk menandai sumber daya.

Misalnya, kebijakan berikut memungkinkan pengguna untuk membuat instance DB dan menerapkan tag selama pembuatan instans DB, tetapi hanya dengan kunci tag tertentu (environmentatauproject):

JSON

{
   "Version":"2012-10-17",
   "Statement": [
       {
           "Effect": "Allow",
           "Action": [
               "rds:CreateDBInstance"
           ],
           "Resource": "*"
       },
       {
           "Effect": "Allow",
           "Action": [
               "rds:AddTagsToResource"
           ],
           "Resource": "*",
           "Condition": {
               "StringEquals": {
                   "aws:RequestTag/environment": ["production", "development"],
                   "aws:RequestTag/project": ["dataanalytics", "webapp"]
               },
               "ForAllValues:StringEquals": {
                   "aws:TagKeys": ["environment", "project"]
               }
           }
       }
   ]
}

Kebijakan ini menolak permintaan instans create DB yang menyertakan tag selain project tag environment atau, atau yang tidak menentukan salah satu tag ini. Selain itu, pengguna harus menentukan nilai untuk tag yang cocok dengan nilai yang diizinkan dalam kebijakan.

Kebijakan berikut memungkinkan pengguna untuk membuat cluster DB dan menerapkan tag apa pun selama pembuatan kecuali environment=prod tag:

JSON

{
   "Version":"2012-10-17",
   "Statement": [
       {
           "Effect": "Allow",
           "Action": [
               "rds:CreateDBCluster"
           ],
           "Resource": "*"
       },
       {
           "Effect": "Allow",
           "Action": [
               "rds:AddTagsToResource"
           ],
           "Resource": "*",
           "Condition": {
               "StringNotEquals": {
                   "aws:RequestTag/environment": "prod"
               }
           }
       }
   ]
}

Tindakan API RDS yang didukung untuk menandai pada pembuatan

Tindakan API RDS berikut mendukung penandaan saat Anda membuat sumber daya. Untuk tindakan ini, Anda dapat menentukan tag saat membuat sumber daya:

• CreateBlueGreenDeployment

• CreateCustomDBEngineVersion

• CreateDBCluster

• CreateDBClusterEndpoint

• CreateDBClusterParameterGroup

• CreateDBClusterSnapshot

• CreateDBInstance

• CreateDBInstanceReadReplica

• CreateDBParameterGroup

• CreateDBProxy

• CreateDBProxyEndpoint

• CreateDBSecurityGroup

• CreateDBShardGroup

• CreateDBSnapshot

• CreateDBSubnetGroup

• CreateEventSubscription

• CreateGlobalCluster

• CreateIntegration

• CreateOptionGroup

• CreateTenantDatabase

• CopyDBClusterParameterGroup

• CopyDBClusterSnapshot

• CopyDBParameterGroup

• CopyDBSnapshot

• CopyOptionGroup

• RestoreDBClusterFromS3

• RestoreDBClusterFromSnapshot

• RestoreDBClusterToPointInTime

• RestoreDBInstanceFromDBSnapshot

• RestoreDBInstanceFromS3

• RestoreDBInstanceToPointInTime

• PurchaseReservedDBInstancesOffering

Jika Anda menggunakan API AWS CLI atau untuk membuat sumber daya dengan tag, Tags parameter tersebut digunakan untuk menerapkan tag ke sumber daya selama pembuatan.

Untuk tindakan API ini, jika penandaan gagal, sumber daya tidak dibuat, dan permintaan gagal dengan kesalahan. Ini memastikan bahwa sumber daya dibuat dengan tag atau tidak dibuat sama sekali, mencegah sumber daya dibuat tanpa tag yang dimaksudkan.